Ang mga arkitektura ng network ay pangunahing nagbago kung paano dinisenyo, ginamit, at pinangasiwaan ang mga network, at inayos. Sa pamamagitan ng pag - aalis sa control plan mula sa data plane, ang SDN ay nagpapangyari sa sentralisado, programmable control sa mga network traffic, na nag - aalok ng walang - katulad na liksi at automation. Gayunman, ang pagbabagong ito ay nagpapakilala rin ng bagong set ng mga hamon sa seguridad.

Pag - unawa sa SDN at sa mga Hamon Nito sa Katiwasayan

Ang mga tradisyunal na network ay umaasa sa pamamahaging kontrol, kung saan ang bawat switch o storyr ay gumagawa ng mga independiyenteng mga desisyon sa pag-abante. Ang SDN ay sentralisado ang katalinuhang ito upang maging isang tagakontrol, na nakikipagtalastasan sa mga switch sa pamamagitan ng mga protocol tulad ng OpenFlow. Habang ang sentralisasyong ito samplifies management at nagpapahintulot ng dinamikong rekombinasyon, ito rin ay lumilikha ng isang punto ng pagkabigo at pagpapalawak ng ibabaw ng pag-atake. Keylekrekretong mga hamon sa SDN ay kinabibilangan ng:

  • Konklusyon ng Countroller: Ang isang sumasalakay na nakakakuha ng access sa tagakontrol ay maaaring maka-manipula sa buong network.
  • Ang hindi awtorisadong pag-agos ng tubig na injection: Ang mga Malicious node ay maaaring magturok ng pekeng mga tuntunin sa daloy upang ilihis, ilaglag, o harangin ang trapiko.
  • Mga pagsalakay ng eroplanong Data: Ang mga Switch ay maaaring bahain o magkamali sa pagsasaayos, na humahantong sa pagtanggi sa serbisyo.
  • [Leck of Cnow: Ang mga tradisyonal na kasangkapang panseguridad ay kadalasang nakikipagpunyagi upang siyasatin ang naka-crypted na trapiko o madetekta ng mga aomalyeta sa mga patakarang dinamikong SDN.

Ang mga hamong ito ay nangangailangan ng isang multi-layered security approach.Ang DNS, bilang isang unibersal at malalim na nakapaloob network service, ay maaaring magbigay ng magaang ngunit malakas na layer ng depensa.

Ang Papel ng DNS sa Seguridad ng SDN

Ang DNS ay ang phonebook ng internet, na nagsasalin ng mga tao-basahang domain na pangalan sa IP adress. Sa SDN, ang trapiko ng DNS ay nagiging isang mayamang mapagkukunan ng telemetry at kontrol. Hereijuncios kung paanong pinabubuti ng DNS ang seguridad sa ibayo ng tatlong kritikal na domain.

1. Matatag na Pangalan Resolusyon sa Pamamagitan ng DNSEC

DNS Security Extensions (DNSEC) add cryptographic lagda sa mga rekord ng DNS, na tinitiyak na ang mga tugon ay tunay at hindi nai-refertize sa mid-flight. Sa mga kapaligiran ng SDNN, mahalaga ang DNSEC dahil ang mga SDN controllers ay kadalasang umaasa sa DNS upang malutas ang mga endpoint ng serbisyo (e.g., APIs, microservices) na walang DNSECANSE, ang lason ay maaaring mag-kontrol sa DN-scancanclordyler na mga organisasyon na nagbibigay ng mga producreachment-s-s-screadcreadcreadcreadcreadcreadcreadments at nagbibigay ng mga premition na ang mga premition na maxictors.

Halimbawa, inirerekomenda ng Open Networking Foundation ang DNSSEC bilang isang baseline security measure ng SDN. Deploying a DNSEC-validating finaller sa loob ng SDN na ang bawat query ng DNS na ginagamit para sa pagpapatupad ng patakaran ay nagmumula sa isang napatunayang pinagmulan.

2. Bantang Pag - unawa sa Pamamagitan ng Pagsusuri sa Trapiko ng DNS

Ang trapiko ng DNS ay kadalasang ang unang tagapahiwatig ng kompromiso. Maraming mga pamilyang malware ang gumagamit ng DNS para sa inutos-and-controlation (C2) komunikasyon, data exfiltation, o domain generation algorithms (DGAs). Sa isang arkitekturang SDN, maaaring masubaybayan ng sentralisadong tagakontrol ang lahat ng mga queries ng DNS na bumabagtas sa network. Sa pagsusuri ng mga dibuhong pang-ekon, maaaring makadetekta ng controller:

  • [ Regular, pana-panahong pagtatanong sa isang kahina-hinala na nasasakupan.
  • DGA domains: Random-looking domain na mga pangalan na nilikha ng malware.
  • [Data tunneling: Large DNS queries o TXT record peeups na ginagamit sa pag- exfiltrate data.
  • [DNS rebinding attacks: Mabilis na nagbabago ng mga tugon ng DNS sa bypass na parehong-origin na mga patakaran.

Ang mga tagakontrol ng SDN ay maaaring mag-ambag sa mga bantang intelligence feed o mag-aaral ng makina upang uriin ang mga queries ng DNS sa tunay na panahon. Minsang matukoy ang isang banta, ang tagakontrol ay maaaring magbagsak ng mga daloy, magreredirect ng trapiko sa isang honeypot, o mag-apruba ng mga alituntunin ng firewall nang hindi nakikialam ang tao.

3. Access Control and Policy Enforcement sa pamamagitan ng DNS

Ang DNS ay maaari ring magsilbing puntong pagpapatupad ng patakaran. Sa pagpapatupad ng DNS salain sa gilid ng SDN, maaaring harangan ng mga organisasyon ang pagpasok sa mga alam na malisyoso o hindi angkop na sakop bago pa man maitatag ang anumang koneksyon. Ito ay partikular na kapakipakinabang sa mga panauhing network, mga bahagi ng IoT, o mga malalayong user trafficing.

Bukod dito, maaaring gamitin ng mga tagakontrol ng SDN ang mga tugon ng DNS upang ikapit ang mga patakarang konteksto-aware. halimbawa, kung ang isang gumagamit ay mag-ere ng isang mataas-krisk domain na kategorya (hal., file share, nilalamang pang-matematika), ang tagakontrol ay maaaring mag-throttle bandwidth, i-redirect ang gumagamit sa isang warning page, o kaya ay magpahid ng malalim na pag-siksik ng pakete. Ang pamamaraang ito ay nagdururururulot ng mga lohikang panseguridad mula sa indibiduwal na mga aparato patungo sa sentralisadong controller, pinasimpleng pangasiwaan.

Pagtatakda ng Seguridad ng DNS sa SDN

Upang mapataas ang mga pakinabang sa seguridad ng DNS sa SDN, dapat na gamitin ng mga organisasyon ang isang nakagisnang pamamaraan ng pagpapatupad.

Deploy Isang DNSEC-Validating Recurssive Reciever

Ang bawat SDN domain ay dapat magkaroon ng isang dedikadong reconstructive DNS dependence na advisory DNSEC. Ang tagaayos na ito ay maaaring maging isang unciated na kagamitan (e.g., Cloudflareifics 1.1.) o isang open-source na pagpapatupad tulad ng Unbound. Ang taga-ayos ay dapat ilagay sa loob ng telang SDN upang bawasan ang latency.[[fantefancepwersfict.[kailangan ng pahintulot ng DNS.

Ang Integrate DNS Filipinang May SDN Controller

Gumamit ng DNS salain solution na sumusuporta sa real-time API conclusion kasama ng SDN controller. Cisco Umbrella Ang mga open-source platform tulad ng Phole ay maaaring mag-ambag ng API na direktang makapagtulak ng block volvements sa SDN switchs sa pamamagitan ng controller.[kailangan ng sanggunian] Ang mga open-source platform tulad ng Phole ay maaaring ma-composed sa openDaylight o ONSO.

ISINAD NG Monitor ang mga Imbakan ng Analisa

Ang mga indeable stream telemetry sa mga switter ng SDN upang makuha ang mga queries at tugon ng DNS. Gamitin ang isang network na anytics platform (e.g., Elticse search + Kinana) sa mga visualise query volume, NXDOMAIN rate, at ang mga sukat ng tugon. Maglagay ng mga babala para sa:

  • Biglaang mga torpido sa DNS query volume (potential DDOS).
  • Mga Queries sa mga bagong rehistradong domain (NRDs) na kadalasang malisyoso.
  • DNS mga tugon sa mga halagang TTL mababa sa 60 segundo (karaniwan para sa mga mabilis na glux botnet).

Mga Kabihasnan sa Pagsasagawa ng Pagpapatupad Batay sa Konteksto ng DNS

Halimbawa, kapag ang SDN controller ay tumanggap ng DNS na tugon, maaari itong pagmulan ng mga pagbabago sa patakaran. Kapag ang isang gumagamit ay nagpasiya sa isang lugar na kilalang kinaroroonan ng mga phishing page, ang tagakontrol ay maaaring biglang lumikha ng isang tuntunin sa pagdaloy upang hadlangan ang lahat ng kasunod na trapiko mula sa user na iyon na mga tagagamit na IP hanggang sa nalutas na IP. Ang ⁇ DNS ⁇ n microshegmentation ⁇ ay binabawasan ang ibabaw ng pag-atake nang walang manu-manong pamamahalang nilikha.

Mga Kaso ng Tunay na Paggamit sa Daigdig

Gamitin ang Kaso 1: Pagharang sa Trapik ng C2 sa Isang Campus SDN

Ginamit ng isang unibersidad na naglalagay ng isang SDN campus network ang DNS monitoring upang makita ang isang bulati na nagtangkang makipag-ugnayan sa isang C2 server sa pamamagitan ng DNS TXT queries.Ang SDN controller, na may integrated scare, ay kinilala ang sakop ng DGA at dinamikong naglalapat ng tuntuning blacklist sa aksespwer switch, pag-u-quarantin ang aparatong nahawaan. Ang buong tugon ay nangyari sa ilalim ng 200 milled.

Gamitin ang Kaso 2: Pag - aayos ng mga Kasuutan ng IoT sa Isang Mahuhusay na Pabrika

Sa isang industriyal na kapaligirang IoT gamit ang SDN, ang DNS clain ay ikinapit upang limitahan ang mga aparatong IoT upang makipagtalastasan lamang sa mga sinang-ayunang mga estruktura ng ulap. kapag ang isang IoT sensor ay nagtangkang maabot ang isang hindi kilalang domain, ang controller ay nag-bitiw ng daloy at nagbabala sa security team.Ito ay humadlang sa isang potensiyal na exfiltation episode nang hindi na sumisira sa lehitimong trapiko.

Panunuyo sa mga Tagakontrol ng SDN

Ang mga modernong SDN controllers ay nag-aalok ng REST APIs o Python conveants na pumapayag sa mga panlabas na serbisyo na magbasa ng mga troso ng DNS at magtulak ng mga pagbabago sa daloy. Halimbawa, ang OpenDaylight controller ay may ⁇ DNS ⁇ S ⁇ F ⁇ S ⁇ F ⁇ S ⁇ S ⁇ S. Katulad na mga kaganapan. Ang ONOS ay nagbibigay ng ⁇ dns-mainterialment ⁇ .[0] ⁇ F ⁇ S.[0 ⁇ S.[0] ⁇ S.[T ⁇ S.[T ⁇ S&T ⁇ S&T ⁇ S[D ⁇ S[T ⁇ S[T ⁇ S[T ⁇ ].[T:N[T:D.

Ang mga nagpapaunlad ay maaaring gumawa ng mga pakete ng seguridad sa kaugalian na:

  • Parse DNS mga queries mula sa mga switch packet calciin na mensahe.
  • Query panlabas na banta databases (e.g., Spamhaus[).
  • Ilagay ang mga tuntunin sa daloy upang harangin, iredirect, o ibilang ang calcumit traffic.

Kinabukasan ng mga DN sa Seguridad ng SDN

Habang ang SDN ay nag - evolve tungo sa may - layon na mga operasyong networking at autonomous, ang DNS ay magiging higit na pangunahin. Ang mga teknolohiyang gaya ng encrypted DNS (DNS over HTTPS, DNS over TLS) ay makababawas sa mga ideya ng tradisyonal na pagsubaybay, subalit ang mga tagakontrol ng SDN ay maaaring ilagay bilang ang pinagkakatiwalaang regivation figener, sa gayo'y lubusang nakikita ang mga quepryplication queries.

Ang pagsasama ng SDNimen na programmability at DNS ⁇ s ubiquity ay lumilikha ng malakas na sinerhiya. sa pamamagitan ng paghahabi ng seguridad ng DNS sa telang SDN, ang mga organisasyon ay maaaring makamit ang isang dinamiko, tumutugon, at naka-canable na posisyong panseguridad na umaangkop sa mga bagong banta sa tunay na panahon.

Pagsasaayos

Sa Software Defined Networking, ito ay nagsisilbing mahalagang sensor ng seguridad, puntong pagpapatupad ng patakaran, at pinagkakatiwalaang pinagmumulan ng network intelligence. Sa pagpapatupad ng DNSSEC, pagsubaybay sa trapiko ng DNS, panunuot sa mga SDN controller, at pagkakapit ng dinamikong mga patakaran, malaki ang magagawa ng mga organisasyon upang mapahusay ang seguridad ng kanilang mga SDNNE. Habang patuloy na nagbabago ang mga network, ang DNS ay mananatiling isang batong - panulok ng isang estratehiyang hard defense.